נספח זה מרכז את עקרונות אבטחת המידע והפרטיות החלים על הפלטפורמה הטכנולוגית המשמשת להפעלת סוכן הבוט הקולי AI המסופק על ידי בר-עוז מערכות תקשורת בע"מ.
אבטחת הפלטפורמה:
הפלטפורמה כוללת מנגנוני אבטחת מידע המיועדים להגנה על מידע הנקלט, מועבר ומעובד במסגרת פעילות הבוט הקולי.
הסמכת SOC 2 Type II, הכוללת ביקורת על בקרות בתחום האבטחה, הזמינות, שלמות העיבוד, הסודיות והפרטיות. בנוסף, מסמכי הספק מתייחסים לעמידה בדרישות GDPR ולחוק הגנת הפרטיות הישראלי והתקנות מכוחו.
הצפנת מידע:
מידע המאוחסן בפלטפורמה, לרבות בסיסי נתונים, גיבויים, הקלטות, תמלולים ולוגים, מוצפן באמצעות AES-256.
העברת מידע בין מערכות, ממשקי API, Webhooks ונקודות אינטגרציה מוצפנת באמצעות TLS 1.2 או TLS 1.3.
בקרת גישה והרשאות:
הפלטפורמה כוללת מנגנוני בקרת גישה והרשאות לפי תפקיד, בין היתר קיימים:
Role-Based Access Control
הפרדה לוגית בין סביבות לקוחות
תמיכה ב-MFA
תמיכה ב-SSO ללקוחות מתאימים
Audit Log המתעד פעולות וגישה למערכת
כל סביבת לקוח מנוהלת בנפרד מבחינת משתמשים, הרשאות ותיעוד פעולות.
סוגי מידע:
בהתאם לאופן הגדרת השירות על ידי הלקוח, המערכת עשויה לעבד מידע כגון:
שם
מספר טלפון
כתובת דואר אלקטרוני
הקלטות ותמלולי שיחה
נתוני אינטראקציה
מידע שנמסר במהלך השיחה
מידע המתקבל ממערכות הארגון
מספרי לקוח, מספרי פנייה, פרטי שירות ונתונים נוספים שהוגדרו במסגרת האפיון
היקף המידע הנאסף והמעובד נקבע בהתאם לצורכי הלקוח ולתהליך העסקי שהוגדר.
תפקידים בטיפול במידע:
הלקוח קובע את מטרות השימוש במידע, סוגי המידע שהבוט רשאי לאסוף והתהליכים שבהם ייעשה בו שימוש.
ספק הפלטפורמה פועל כמעבד מידע ומעבד את המידע לצורך אספקת השירות ובהתאם להנחיות המתועדות של הלקוח.
באחריות הלקוח לוודא כי איסוף המידע והשימוש בו נעשים בהתאם לדין, וכי קיימים האישורים, ההסכמות והבסיסים המשפטיים הנדרשים לצורך כך.
שימוש במידע לצורכי AI:
הפלטפורמה, נתוני לקוחות, תמלולים ו-Prompts אינם משמשים לצורך אימון מודלי AI והמידע משמש לצורך אספקת השירות.
ייתכנו שימושים תפעוליים במידע לצורכי תחזוקה, אבטחה, תמיכה ושיפור איכות השירות בהתאם להסכמים החלים על השירות.
שמירת מידע ומחיקתו:
מידע עשוי להישמר למשך תקופת השירות בהתאם להגדרות הלקוח ולצרכים התפעוליים.
ניתן להגדיר תקופת שמירה מותאמת למידע הנוגע לאינטראקציות, ולאחריה המידע יימחק באופן אוטומטי בהתאם להגדרות המערכת. לדוגמה, אפשרות לקביעת תקופת מחיקה של 90 יום.
עם סיום השירות ניתן, בהתאם לתנאים החלים, לבקש החזרה או מחיקה של מידע אישי. במקרים שבהם קיימת חובה משפטית או צורך ראייתי, עשוי להישמר עותק בהתאם לדין.
ספקי משנה:
לצורך אספקת השירות נעשה שימוש בספקי תשתית וטכנולוגיה חיצוניים.
ברשימת ספקי המשנה המופיעה במסמכי הפלטפורמה נכללים בין היתר:
AWS לשירותי ענן
OpenAI, Anthropic ו-Google לצורכי רכיבי מודלי שפה ויתירות טכנולוגית.
רשימת ספקי המשנה עשויה להשתנות בהתאם למדיניות הספק ולהתפתחות השירות.
אירועי אבטחת מידע:
הפלטפורמה מפעילה תהליכי ניטור, רישום אירועים, בדיקות אבטחה, ניהול חולשות וטיפול באירועי סייבר.
המערכת כוללת ניטור אירועים, זיהוי חריגות, Audit Logs, בדיקות אבטחה אוטומטיות, בדיקות חדירה ותהליכי Patch Management.
במקרה של אירוע אבטחת מידע הנוגע למידע אישי, ספק הפלטפורמה מתחייב להודיע ללקוח ללא שיהוי בלתי סביר לאחר שנודע לו על האירוע ולפעול באופן סביר לצמצום ולטיפול בגורם לאירוע.
המשכיות עסקית וגיבויים:
הפלטפורמה מפעילה תוכניות המשכיות עסקית והתאוששות מאסון, לרבות:
Business Continuity Plan
Disaster Recovery Plan
גיבויים מוצפנים
בדיקות שחזור
מנגנוני יתירות ו-Failover בתשתיות הענן
תשתית ענן:
סביבת הייצור של הפלטפורמה פועלת על גבי Amazon Web Services וכוללת מנגנוני אבטחת ענן, הצפנת אחסון, רשתות מאובטחות ומנגנוני זיהוי חריגות ברמת הרשת.
בהתאם לצורכי הפרויקט ולהסדר המסחרי הרלוונטי, קיימת גם אפשרות להקמת סביבת Dedicated Environment נפרדת, הכוללת הפרדה לוגית ופיזית מסביבות לקוחות אחרים.
סביבה ייעודית יכולה להיות מוקמת באזור AWS בישראל, בארצות הברית, באיחוד האירופי או באוסטרליה, בהתאם לתצורה שנבחרה.
אינטגרציה למערכות הארגון:
הבוט הקולי עשוי להיות מחובר למערכות CRM, מערכות שירות, מערכות תורים, יומנים, ממשקי API ומערכות ארגוניות נוספות.
המידע המועבר בין הבוט למערכות אלה מוגבל לפעולות ולנתונים שנדרשים לצורך התהליך שהוגדר במסגרת האפיון.
זמינות ואבטחת המידע של מערכות צד שלישי המחוברות לשירות כפופות גם למדיניות ולתשתיות של אותם ספקים.
מידע רפואי ומידע רגיש:
ככל שהלקוח מבקש להשתמש בבוט לצורך איסוף מידע רפואי או מידע רגיש אחר, אופן השימוש והמידע שייאסף יוגדרו במסגרת האפיון ובכפוף לדין ולהרשאות הנדרשות.
כאשר הבוט משמש בתהליך רפואי, תפקידו יכול להיות איסוף מידע מהמתקשר והעברתו למערכת הארגונית או לגורם רפואי מוסמך.
הבוט אינו מיועד לבצע אבחון רפואי, לקבוע טיפול, לתת המלצה רפואית או להחליף שיקול דעת מקצועי של רופא או גורם מוסמך.
אחריות הלקוח:
הלקוח אחראי להגדיר את סוגי המידע שהבוט רשאי לקבל, לאסוף ולהעביר.
באחריות הלקוח לוודא כי השימוש בשירות, במידע ובמערכות המחוברות אליו נעשה בהתאם לחוקי הגנת הפרטיות, אבטחת המידע והרגולציה החלים על פעילותו.
ככל שנדרשים הסכמה, יידוע, הרשאה או מדיניות פרטיות לצורך איסוף או עיבוד המידע, האחריות לכך חלה על הלקוח.
עדכון מנגנוני אבטחה:
מנגנוני האבטחה, ספקי המשנה, תשתיות הענן והפתרונות הטכנולוגיים עשויים להתעדכן מעת לעת כחלק מהתפתחות השירות, דרישות אבטחת מידע ושינויים טכנולוגיים.
החברה רשאית לעדכן נספח זה בהתאם לשינויים בפלטפורמה, בתשתיות ובדרישות הדין, ובלבד שלא תבוצע הפחתה מהותית ברמת אבטחת המידע הנדרשת לצורך אספקת השירות.
